S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 10 octobre 2007
N° CERTA-2007-AVI-435-001
Affaire suivie par: CERT-FR
le 10 octobre 2007

Avis du CERT-FR

Objet: Vulnérabilité dans HP System Management Homepage

Gestion du document

Référence CERTA-2007-AVI-435-001
Titre Vulnérabilité dans HP System Management Homepage
Date de la première version 10 octobre 2007
Date de la dernière version 14 février 2008
Source(s) Bulletins de sécurité HP c01183265 et c01183597 du 03 octobre 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code indirecte à distance (Cross Site Scripting ou XSS).

Systèmes affectés

  • HP System Management Homepage (SMH) versions antérieures à 2.1.10 (pour GNU/Linux et Microsoft Windows) ;
  • HP System Management Homepage (SMH) sur HP-UX versions B.11.11, B.11.23 et B.11.31.

Résumé

Une vulnérabilité de HP System Management Homepage (SMH) permet l'exécution de code indirecte à distance.

Description

Le manque de contrôle du contenu d'un argument envoyé à HP System Management Homepage (SMH) permet à un individu malveillant de réaliser de l'injection de code indirecte à distance (Cross Site Scripting ou XSS).

Solution

La version 2.1.10-186 pour GNU/Linux et Microsoft Windows corrige le problème. Les correctifs PHSS_36869, PHSS_36870 et PHSS_36871 pour HP-UX corrigent le problème. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 10 octobre 2007
    version initiale.
    le 14 février 2008
    ajout de la référence CVE.